Расследование Amir Capital: куда ушли деньги вкладчиков

Схема Amir Capital собирала средства вкладчиков в сетях Bitcoin, Tron и Ethereum с 2019 по 2023 год. Только по Tron, если считать кластер как одну сущность, подтверждаются переводы на 66,4 млн USDT — против цифры 53 млн из майского отчёта для кипрских властей. В Bitcoin названные адреса получили извне 4 262 BTC и выплатили наружу 4 185 BTC, из них 3 254 — через один горячий кошелёк за 30 572 транзакции.

Почти всё выведено. Все биткоин-адреса кластера сегодня пусты, на восемнадцати кошельках Tron вместе осталось 2 234 доллара. Деньги ушли через депозитные адреса Binance, OKX, Bitfinex, HTX и Kraken, а также десятками тысяч мелких платежей.

Одно исключение важнее всего остального: позиция в Aave в сети Ethereum — примерно 24,6 млн долларов залога против долга в 6,78 млн. Она живая, ликвидная и больше не находится по тому адресу, который указан в деле.

Плечо Ethereum устроено так же, как два других, и до сих пор у него не было ни одной цифры. Оно идёт через один горячий кошелёк, 0xDb6Bc4DA…, который в деле указан без суммы: 156 085 840 USDT получено и 156 085 834 отправлено за 62 740 движений с октября 2019 по октябрь 2024 года, остаток на конце — шесть долларов. За ним стоят 203 приёмных кошелька и 273 депозитных адреса, перед ним — 137 адресов, единственная работа которых была выводить деньги. Binance, Kraken и HTX платили этому кошельку напрямую, 7,7 млн долларов за пятнадцать транзакций.

Есть и четвёртая сеть. В EVM-сетях адрес — это ключ, поэтому тот же адрес в BNB Chain — тот же владелец. Кошелёк из материалов дела, 0x0b32Aa5C…, получил там 16 623 BNB и отправил 19 700 BNB, почти всё в 2021 году; адрес горячего кошелька Ethereum и один кондуит вывода тоже работали в этой сети. Вкладчики в BNB Chain не платили: приёмного слоя там нет, только биржи, DeFi-площадки и промежуточный адрес для сбора средств. Это собственная торговля оператора, поэтому к потерям вкладчиков она не прибавляется.

В майском отчёте сказано, что на адресе 0x0b32Aa5C… остаётся около 12,7 млн долларов в Aave. Это больше не так, и цифра была занижена даже тогда: она учитывала только часть в WBTC и не учитывала залог в wstETH.

Примерно за час 11 августа вся позиция была переведена на кошелёк, которого нет в отчёте. Механизм — подмена долга: новый кошелёк дал USDT, чтобы погасить долг старого в Aave, старый забрал свой залог и передал его новому, а тот заложил его заново уже под своим именем. Десять прямых переводов между двумя адресами, у каждого свой хэш:

• 13:35:47 — 2.0000 wstETH · старый → новый
• 13:39:11 — 1,998.0000 wstETH · старый → новый
• 13:54:35 — 2,200,005 USDT · новый → старый, погашение долга
• 14:01:23 — 1,345.2564 wstETH · старый → новый
• 14:09:47 — 2,000,000 USDT · новый → старый, погашение долга
• 14:14:23 — 76.0395 WBTC · старый → новый
• 14:32:11 — 2,500,000 USDT · новый → старый, погашение долга
• 14:43:47 — 46,100 USDT · новый → старый, погашение долга
• 14:47:35 — 90.2471 WBTC · старый → новый
• 14:50:35 — 240,066.0475 ST-YCRV · старый → новый

Погашать чужой долг на миллионы долларов ради того, чтобы забрать чужой залог, — не операция между посторонними.

На новом кошельке 166,2876 aEthWBTC (около 13,52 млн долларов), 3 345,2564 aEthwstETH (около 11,00 млн) и 36,17 ETH против долга в 6 775 307 USDT — примерно 17,8 млн чистыми. Вывод продолжается: 20 000 USDT на депозит Binance 23 апреля, 20 000 — 25 мая, 20 000 — 8 июля, 30 000 — 14 июля и 561 000 USDT 19 июля 2026 года.

В Aave нет заморозки по адресу. Управление протоколом может остановить или заморозить рынок целиком, но не отдельного участника. Залоговые токены тоже не помогают: у WBTC есть только полная остановка, которой распоряжается кастодиан, и нет списка заблокированных адресов, а у wstETH нет вообще никаких функций контроля.

Единственный рычаг — Tether. Контракт USDT в Ethereum содержит функции addBlackList и destroyBlackFunds, и блокировка держателя закрыла бы возможность погасить долг в USDT, а без погашения залог не забрать. Но это окно закрывается в тот момент, когда держатель понимает, что его нашли: августовский перенос показал, что позицию можно увести за час.

Пройдены все переводы всех семнадцати адресов Tron, и каждый адрес сверен с его балансом в сети — на учётной модели это точная проверка: полученное минус отправленное обязано равняться тому, что лежит на адресе сейчас. Шестнадцать из семнадцати сходятся до цента. За вычетом переводов между самими адресами кластер получил извне 66 366 657 USDT от 14 382 адресов и выплатил наружу 66 399 236 на 19 256 адресов. В майском отчёте 2026 года tron-нога оценивалась примерно в 53 млн долларов; разница в том, что здесь кластер посчитан один раз, а не по разу на каждом кошельке, через который прошли те же деньги.

Как и на биткоине, это не одна операция. Девять адресов работали до остановки выплат 30 ноября 2021 года и приняли 56,68 млн USDT от 11 803 вкладчиков. У остальных восьми до этой даты нет ни одной транзакции — самый ранний открывается 9 декабря 2021 года, через девять дней после остановки — и они приняли 11,30 млн от 3 810 адресов. Связывает их снова список вкладчиков: 1 225 адресов платили и туда и туда, и на них приходится 5 929 994 USDT, то есть 52,5% всего, что собрал второй раунд. На биткоине та же мера дала 49% и 44%. Три раза подряд — это уже метод, а не совпадение.

Один из поздних адресов работает до сих пор. TTQUPBtmvdgM8VvFDCzAniKrgig6E6Xf6Z принял 111 987 USDT и выплатил 109 817 на 52 адреса в период с марта 2022 года по 2 сентября 2026 года, сегодня на нём 2 170 USDT. Его частично наполняют два адреса, уже отнесённых к схеме, а крупнейший источник — обменник ChangeNOW, 41 570 USDT. Суммы малы рядом с первым раундом; значимо другое — деньги двигались через него в этом месяце.

С апреля по июнь 2023 года два адреса схемы отправили 38 440 «USDT», которые не были USDT. Четыре разных контракта, каждый называет себя Tether USD и использует символ USDT, и ни один из них не является настоящим контрактом Tether TR7NHqjeKQxGTCi8q8ZY4pL8otSzgjLj6t. Все 35 переводов шли наружу, примерно пятнадцати получателям; входящих не было ни одного, так что это не тот незапрошенный токен-спам, который прилетает на любой активный кошелёк. Контракт меняли четыре раза за эти недели — так делают, когда кошельки начинают помечать предыдущий. В кошельке получателя название, символ и сумма выглядят правильно; отличается только адрес контракта, а его почти никто не проверяет.

Из выплат 22,6% дошли до опознанных бирж — один адрес Binance принял 12 760 085 USDT, за ним Gate, Bybit и другие. Если исключить биржи, которые стоят по обе стороны по своей природе, то 71 адрес одновременно вносил и получал, и им досталось 5,48% всех выплат. На биткоине та же величина составила 6,1%. На обеих сетях около 94% выплаченного ушло адресам, которые никогда ничего не вносили.

Об одном остатке лучше сказать, чем умолчать. На крупнейшем адресе-пуле 34 814 USDT входящих не сходятся — это 0,066% от его оборота в 53 млн. Три разных способа сбора данных вернули три разных набора переводов для одного и того же адреса и одного и того же запроса, и этот зазор лежит внутри несогласованности самого TronGrid, а не в арифметике. На приведённые выше цифры он существенно не влияет, и именно поэтому каждое число здесь сверено с балансом, а не принято на слово у API.

Один из кошельков биткоин-кластера, 19HBjvQRq6sExcPf7YG4W5oPF52ifYru42, участвовал в 25 коинджойн-транзакциях с 10 по 25 декабря 2021 года и пропустил через них 23,93965190 BTC. Подпись безошибочная: в каждой из 25 идёт вереница выходов ровно по 0,01000000 BTC — одиннадцать штук в транзакции на 12 входов 13 декабря, двадцать восемь в другой, на 37 входов, в тот же день. Обычный платёж такого не даёт, коинджойн JoinMarket даёт всегда.

Важна дата. Выплаты первому кругу вкладчиков прекратились 30 ноября 2021 года. Кошельки второго круга открылись 9 декабря. Перемешивание идёт с 10 декабря — в промежутке между ними, и больше нигде за всю историю кластера.

Это полные цифры, а не выборка. Все шесть биткоин-кошельков пройдены назад дальше 1 ноября 2021 года, то есть декабрьское окно закрыто по каждому, и коинджойн обнаружился ровно на одном. Самый загруженный кошелёк кластера, 36XRdQsT…, полностью прекратил работу ещё 25 августа 2021 года и в момент перемешивания не использовался.

У кошелька с позицией в Aave есть посетители второго рода. Пять адресов прислали ему 398 транзакций по одной десятимиллионной ETH каждая — и все пять сгенерированы так, чтобы выглядеть как предыдущий кошелёк самой схемы.

Настоящий предшественник — 0x0b32Aa5C1e71715206fE29b7BADB21ad95F272C0. Он начинается на 0x0b32 и заканчивается на 72c0. Каждый из пяти — тоже: 0x0b322a87…72c0 со 189 транзакциями, 0x0b327f3d…72c0 со 103, 0x0b324e49…72c0 со 100, 0x0b32ebad…72c0 с пятью и 0x0b32aa77…72c0, скопировавший уже шесть символов вместо четырёх, с одной.

В этом и вся атака. Кошельки и эксплореры сокращают адрес до первых и последних символов, поэтому на экране все шесть выглядят как 0x0b32…72c0 и неотличимы. Пыль нужна только затем, чтобы двойники попали в историю транзакций — туда, где оператор ищет «адрес, на который отправляли в прошлый раз». Атакующему это не стоит почти ничего и срабатывает один раз.

Попутно это кое-что говорит о самой позиции: кто-то счёл этот кошелёк достойным 398 транзакций терпеливой работы, а столько усилий не тратят на кошелёк, который считают спящим.

Сама позиция не изменилась. Перечитано с цепочки 21 сентября 2026 года на блоке 26 024 397: 166,28766255 aEthWBTC и 3 345,25639741 aEthwstETH против 6 776 904,59 USDT долга, долг обрастает процентами, залог не тронут. Исходящих транзакций за всю жизнь кошелька — четырнадцать.

Три зацепки готовы для официального запроса прямо сейчас.

• Аккаунты Binance, через которые прошли 13,8 млн долларов из Tron. Площадка установлена, суммы и даты зафиксированы, а аккаунт был активен до середины 2023 года — достаточно недавно, чтобы записи сохранились. Назвать владельца может только биржа.
• Живая позиция в Ethereum. Около 17,8 млн долларов чистыми лежат на кошельке, который установлен десятью переводами с их собственными хэшами. Это единственная часть дела, где деньги ещё можно вернуть, а не просто проследить — и удержать их на месте может блокировка в Tether.

Куда деньги Ethereum ушли на самом деле, в долларах на момент каждого перевода: Binance 37 490 371 через шесть счетов и 585 транзакций; HTX 5 630 235 через девятнадцать адресов; KuCoin 1 090 707; Bitfinex 953 299; Paribu 871 246; EXMO 419 708; Kuna Exchange 325 393; Bitzlato 180 001; Poloniex 118 363; Nexo 106 498; Bybit 100 142. Около 47,6 млн долларов через названные площадки. Ещё 25,5 млн ушли на адреса без атрибуции, и следующий шаг объясняет примерно половину. 8,53 млн получил один крупный адрес, который вернул 11,67 млн в Aave-кошелёк схемы, то есть это внутренний оборот, а не вывод. Около 3,2 млн дошли до депозитных адресов бирж (Binance, Kraken, Bybit, FTX и другие) или ушли через мост Multichain. 0,86 млн вернулись в один из хабов самой схемы. Без атрибуции остаются примерно 13 млн, в основном на личных кошельках. Если пройти от каждого такого адреса ещё один шаг, с весом по полученной сумме, то всего около 4,6 млн (включая прямые выводы выше) доходят до Binance, Kraken, WhiteBIT, Bybit, OKX, Coinbase и HitBTC, а около 6,3 млн остаются на личных кошельках.

Три строки в этом списке стоят внимания следствия больше, чем итоговая сумма. Binance здесь не разовый выход, а постоянный канал: 585 транзакций на шесть счетов, и по каждому счёту есть проверка личности. Bitzlato — всего 180 001 доллар, но эту биржу в январе 2023 года изъяли власти США и Франции именно за отмывание, то есть её записи уже лежат в деле, а не за запросом. А Paribu, Kuna и EXMO переносят часть вывода в Турцию и Украину — шире, чем предполагает дело, которое ведётся на Кипре и в Казахстане.

Две оговорки к этим цифрам. Это движение, а не чистый убыток: деньги, ушедшие через площадку и вернувшиеся обратно, посчитались бы дважды, а приходная сторона горячего кошелька отдаётся нам неполной, так что приход — это нижняя граница, а не итог. И погашения в MakerDAO и Aave сюда намеренно не включены: кошелёк из дела занял 22 435 046 DAI под залог за 62 транзакции, и возврат этого долга — не деньги, покинувшие схему.

Все адреса схемы из этой трассировки помечены в базе PublicAML с баллом от 70 до 75 из 100, так что любая биржа или контрагент, проверяя их, увидит эту историю. Депозитные адреса бирж намеренно не помечаются: через них проходят средства тысяч посторонних клиентов.